Transferts de données et adéquation (Schrems, Irlande)
Le corpus aborde la question des transferts de données personnelles hors d'Europe — en particulier vers les États-Unis — et celle de l'« adéquation » du droit américain, à travers quatre auditions convergentes sur un constat central : le cadre juridique existe mais n'est pas appliqué.
Le maillon faible irlandais. Plusieurs intervenants désignent nommément l'Irlande comme point de rupture de l'architecture RGPD. Selon Bastien Le Querrec (La Quadrature du Net, des associations sur le thème de la protection des données personnelle), l'autorité irlandaise de protection des données, la DPC, « apparaît notoirement incapable de faire face aux Big Tech », lesquelles s'y installent pour raisons fiscales. Max Schrems (NOYB, M. Max Schrems) élargit l'accusation : l'Irlande et le Luxembourg « créent des failles de plus en plus nombreuses dans le droit européen — pas seulement en matière de droit du numérique, mais aussi en matière de fiscalité et de droits sociaux ». Il documente ce dysfonctionnement par deux exemples concrets : un chiffre-choc (« un média public irlandais a estimé que seulement 0,3 % des montants dus ont réellement été payés »), qui relativise le récit des « amendes record », et un cas de pantouflage — l'ancienne directrice de la DPC « a récemment annoncé son embauche par le cabinet d'avocat qui défend Meta ».
La fragilité de l'adéquation américaine. Schrems (M. Max Schrems) juge le Data Privacy Framework instable : il repose sur des garanties extralégislatives héritées de l'ère Obama et sur un désaccord de fond sur la « proportionnalité » — « les deux parties se sont accordées sur l'usage d'un terme, mais pas sur son sens ». La table ronde de la Ligue des droits de l'homme (des associations sur le thème de la protection des données personnelle) ajoute un argument politique : Pierrick Clément souligne que « trois membres démocrates » de l'organe censé garantir l'indépendance de la protection des données (le Data Protection Review Court) « ont été poussés à la démission par Donald Trump », ce qui remet en cause l'adéquation. Maryse Artiguelong rappelle par ailleurs qu'un responsable auditionné, M. Vilbœuf, a « reconnu l'existence d'un risque d'accès par une autorité étrangère aux données » du Health Data Hub. Clément cite enfin l'arrêt Latombe de 2025, relatif à l'autorisation de transférer des données vers les États-Unis.
Une divergence de diagnostic. Le clivage principal porte sur le remède. Pour Schrems et Martin Untersinger (Le Monde, M. Martin Untersinger), la solution n'est pas législative mais d'application : « la solution n'est pas […] d'adopter de nouveaux textes mais d'appliquer ceux qui existent et de donner aux régulateurs les moyens de s'attaquer à ce marché ». Schrems propose en outre de transférer la régulation des très grandes plateformes (VLOPs) au niveau européen pour contourner le refus national d'appliquer la loi. À l'inverse, Thierry Breton (M. Thierry Breton) estime que le rôle permissif de l'Irlande « s'efface avec l'harmonisation normative » et la coordination des régulateurs par un board, « hormis pour le RGPD » — une lecture plus optimiste de la convergence institutionnelle en cours.
Qui en parle
- Max Schrems (NOYB, M. Max Schrems) — dénonce le sabotage irlandais et luxembourgeois et la fragilité du Data Privacy Framework ; plaide pour appliquer la loi et remonter la régulation des VLOPs au niveau européen.
- Bastien Le Querrec (La Quadrature du Net, des associations sur le thème de la protection des données personnelle) — pointe l'incapacité de la DPC irlandaise face aux Big Tech.
- Maryse Artiguelong et Pierrick Clément (Ligue des droits de l'homme, des associations sur le thème de la protection des données personnelle) — contestent l'adéquation américaine (risque d'accès au Health Data Hub, démissions politiques au sein de l'organe de contrôle, arrêt Latombe).
- Martin Untersinger (Le Monde, M. Martin Untersinger) — appliquer les textes existants plutôt qu'en adopter de nouveaux.
- Thierry Breton (M. Thierry Breton) — voix plus mesurée : l'harmonisation efface l'intérêt de choisir un État membre plutôt qu'un autre.